一個開源交易機器人，昨天在 GitHub 多了 626 顆星。它的自我介紹裡有一句：在你睡覺的時候幫你管理風險。
一句話結論：CloddsBot 是真實存在、MIT 授權、目前 2,143 顆星的開源 AI 交易 Agent，但它的測試腳本有一個 glob 寫法錯誤，導致 41 個測試檔裡有 12 個（29%）從來沒有被執行過，而 28,033 字的 README 裡沒有任何一句風險警語。想跑它可以，先看完這篇。
資料截至 2026 年 9 月 12 日。以下每一項我都回到倉庫本體重新數過，不是轉述別人的 issue。哪些是我親自驗證的、哪些只是別人的說法，我分兩欄寫清楚。
CloddsBot 到底是什麼？
它是一個自託管的加密貨幣交易 Agent，用 TypeScript 寫成，接上 Polymarket、Kalshi、Binance、Hyperliquid、Solana DEX 和 5 條 EVM 鏈，倉庫描述說涵蓋 1000 個以上的市場。核心邏輯交給 Claude 模型判斷，你把 API 金鑰和錢包權限交給它，它自己找機會、自己下單。
「自託管」三個字是這件事的關鍵。沒有客服、沒有託管方、沒有賠付。程式跑在你自己機器上，用你自己的錢，出事沒有人負責。這不是缺點，這是開源交易工具的本質。但正因為如此，落錢之前的檢查責任 100% 在你身上。
它突然爆紅，是因為做了什麼新東西嗎？
不是。倉庫在 2026 年 1 月 26 日建立，已經存在 7 個多月。真正的轉折在 9 月 10 日，當天一個 commit 的訊息是「docs: add Trendshift badge」——加上了一個開源榜單的徽章。隔天星數開始暴衝。
換句話說，你今天看到的熱度來自曝光管道，不是來自一次功能躍進。這點值得記住：GitHub 星數是注意力指標，不是品質指標。目前 2,143 顆星裡，有 626 顆是同一天湧進來的，佔了 29%。
另一組數字更能說明開發節奏。倉庫總共約 445 個 commit，其中大約 345 個集中在 1 月 26 日到 2 月 12 日這 17 天內，之後 7 個月只累積了約 100 個。版本發布也對得上：v1.9.0 發於 8 月 31 日，上一個 v1.7.7 停在 2 月 13 日，中間空了六個半月。
參與的人也少。436 個 commit 出自作者一人，另外三位真人貢獻者加起來只有 3 個 commit，剩下 6 個來自自動化機器人。這是一個接近單人維護的專案，而它現在管的是別人的錢包。
我實際核了哪幾件事？結果如何？
五項，全部回到檔案樹和原始檔重新數。有兩項是問題、一項是明顯疏漏，還有一項它其實講得沒錯。
| 項目 | 倉庫的說法 | 我數出來的結果 | 判定 |
|---|---|---|---|
| 測試檔總數 | — | tests/ 底下共 41 個 .test.ts：第 2 層 4 個、第 3 層 29 個、第 4 層 8 個 | 基準值 |
npm test 實際覆蓋 | — | 測試腳本用 node --test 搭配一個沒有加引號的 **。shell 未開啟 globstar 時 ** 只比對一層目錄，因此只跑得到第 3 層那 29 個。另外 12 個（29%）從頭到尾沒有執行，測試卻照樣顯示通過 | ❌ 已證實 |
| npm 套件可安裝性 | 有 postinstall 腳本 | package.json 的 files 欄位不包含 scripts/，發布出去的套件跑不到 postinstall | ❌ 已證實 |
| 風險披露 | — | README 共 28,033 字，搜不到 disclaimer、not financial advice、risk of loss、paper trading 之中任何一個 | ❌ 已證實 |
| 「119+ Skills」 | 119 個以上 | src/skills/bundled/ 底下實際有 121 個 SKILL.md | ✅ 說法成立 |
最後一項我特別留著。如果一篇拆解文從頭到尾每項都是紅燈，那多半是作者在找碴，不是在查證。「119+ Skills」這個數字是真的，而且講得比實際保守。這反過來也讓前面三項紅燈更值得相信。
那個測試漏洞為什麼值得寫一整段？
因為它不會報錯。
一個壞掉的測試會變紅、會擋住合併、會有人來修。但一個「根本沒被挑中執行」的測試檔，在報表上不是紅色，它是不存在。分子和分母一起縮水，通過率永遠是 100%。維護者看到綠燈，使用者看到綠燈，而那 12 個檔案裡寫了什麼，沒有人知道。
會叫的錯誤不可怕。可怕的是安靜地把分母變小，然後給你一個漂亮的百分比。
這個錯誤本身修起來很簡單，在 glob 外面加一對引號就好。真正的問題是它已經存在了一段時間沒有人發現，而這個專案處理的是即時下單。
還有哪些說法我沒辦法證實？
9 月 11 日，一位使用者 walt-verweij 一口氣開了六條 issue（#112 至 #117）。截至我查證時，維護者一條都還沒回覆。其中三條如果成立，嚴重度高於前面所有項目：
- #115：批次下單的路徑繞過了訂單驗證、繞過 dry-run、也繞過熔斷器。如果屬實，代表你以為自己在空跑測試，單子其實已經送出去了。
- #116：熔斷器和單筆上限只覆蓋預測市場的訂單，期貨和 Solana swap 不在保護範圍內。
- #114：bracket 訂單的停損，實際上是用即時限價賣單送出，不是真正的停損單。
我試著到原始檔逐行確認，但 src/execution/index.ts 的內文在我的讀取環境被擋下來，只能取到結構資訊。我能觀察到的是：這個檔案有 3,736 行，訂單驗證、熔斷器、單筆上限、dry-run 這四組守衛關鍵字集中出現在 2794 至 2871 行這一段，而批次下單函式出現在 2112 行和 3328 行，兩處都落在守衛區之外。
這是旁證，不是實錘。位置分布吻合那位使用者的描述，但我沒有讀到函式主體，所以它停在「尚未證實」，不能寫成「已確認為真」，也不能寫成「已確認為假」。這兩者的差別，在你要把錢交出去的時候非常重要。
這件事只發生在這一個專案嗎？
不是。把鏡頭拉遠，2026 年自主交易 Agent 的翻車案例有一個共同點，而且跟模型聰不聰明沒什麼關係。
據報導，名為 Alpha Arena 的實驗給了六個前沿模型各 10,000 美元真實 USDC，在 Hyperliquid 上全自主交易永續合約。結果在通用推理排行榜上名列前茅的那個模型，在實盤中是表現最差的交易員。另有資安團隊掃到超過 21,000 個公開可存取、且未設任何驗證的 OpenClaw 實例，API 金鑰、錢包權限與對話紀錄全部曝露在外。（以上為外部報導，我未逐項回查一手來源，引用時請自行覆核。）
把這幾件事擺在一起，結論不是「AI 不會交易」。真正的共通點是：出問題的那一層從來不是判斷力，而是判斷力外面那一圈——有沒有人幫它裝上限、裝停損、裝斷路器。一個擁有錢包權限又沒有交易上限的 Agent，聰明與否只決定它虧錢的速度。
落錢之前，你現在就能做的 6 個檢查
這份清單不只適用於 CloddsBot。任何一個你打算掛上真錢包的開源交易專案，都可以照著跑一遍，大概十分鐘。
- 先數測試，再看星數。打開
package.json的 test 腳本，跟tests/實際檔案數對一次。跑起來的數字和檔案總數對不上，就先停。 - 確認 dry-run 是真的 dry-run。開空跑模式，掛一個只有極小額度的子帳號實測一次，不要相信文件寫什麼。
- 搜 README 有沒有風險警語。一個碰真錢的工具，連一句「你可能虧光」都不寫，代表作者沒有從使用者虧錢的角度想過這件事。
- 看貢獻者結構。單人專案不等於不好，但代表沒有第二雙眼睛審過下單邏輯。權重自己調整。
- 看 issue 區，尤其是沒人回的那些。爆紅之後湧入的技術 issue，通常比 README 誠實。
- 用交易所子帳號 + 最小權限 API 金鑰。關掉提幣權限、綁定 IP、設每日上限。這一步跟程式好壞無關，是你自己的斷路器。
如果不用它，還有什麼選擇？
看你想要的是什麼。如果你要的是「讓程式幫我執行既定規則」，那你要的其實是交易機器人，不是 AI Agent——成熟的網格、DCA、跟單工具在各大交易所原生就有，風控是交易所那一層做的，出錯的面積小很多。
如果你要的是「讓模型自己判斷要不要進場」，那你買的本質是一個尚未被驗證的決策系統。這種東西合理的用法是：先讓它只輸出訊號、不給下單權限，自己看它一兩個月，對照結果再決定要不要把執行權交出去。
至於 CloddsBot 本身，我不會勸你別碰。MIT 授權、程式碼公開、121 個內建 skill 是真的、作者也還在推 commit。它適合的是「看得懂 TypeScript、願意自己讀過下單路徑、先用小額跑」的人。如果你打算 clone 下來、填好金鑰、然後真的去睡覺——那它描述裡那句話，目前撐不住你的期待。
常見問題
Q：CloddsBot 是騙局或惡意程式嗎？
沒有證據指向這個方向。它是 MIT 授權的公開倉庫，有 7 個多月的 commit 歷史和真實的功能程式碼。本文指出的是工程品質與風險揭露的問題，不是詐騙指控。
Q：那 12 個沒跑到的測試檔，會直接害我虧錢嗎？
不會直接。它的意義是「這部分程式碼的驗證狀態是未知的」。風險來自未知本身，不是來自那個 glob 錯誤。
Q：我該等它修好再用嗎？
如果你要掛的是無法承受損失的資金，那答案是等，而且要等到 #114 至 #116 有維護者正面回應為止。如果只是小額研究用途，照上面六項檢查跑一遍再決定。
Q：GitHub 星數高代表安全嗎？
不代表。星數衡量的是注意力。這個案例裡，29% 的星數來自加上榜單徽章後的那一天。
CloddsBot 倉庫原始連結｜本文所有數據以 2026 年 9 月 12 日查證時的倉庫狀態為準，專案隨時可能更新，引用前請自行覆核。
免責聲明：本文為開源軟體的技術拆解與工程品質評估，不構成投資建議、財務建議或任何交易推薦。加密貨幣交易具高度風險，自動化交易可能在極短時間內造成重大損失。任何自託管交易程式的執行結果與資金損益，均由使用者自行承擔。作者與本站未持有 CloddsBot 相關權益，亦未收取任何形式的報酬。
發佈留言